定義
AI生成コードの脆弱性とは、生成AIが提案するプログラムコードにSQLインジェクションや認証不備などの安全上の欠陥が紛れ込む問題のこと。
AI生成コードの脆弱性 (Insecure AI-Generated Code)とは（詳しく解説）
AI生成コードの脆弱性とは、ChatGPTやClaude、GitHub Copilot、Cursorなどのコーディング支援AIが提案するコードに、SQLインジェクション対策の欠如、ハードコードされた認証情報、入力値検証の不足といったセキュリティ上の欠陥が紛れ込む問題を指す。生成AIは学習データに含まれる古い実装パターンや脆弱なサンプルコードをそのまま再現しやすく、一見正しく動作して見えても安全性が担保されていないコードを出力しやすいと広く指摘されている。2026年時点の実運用では、AIにコードを書かせてレビューなしでそのままマージする、いわゆる「バイブコーディング」的な運用が現場に広がっており、静的解析(SAST)や依存関係スキャンをCIに組み込むコストを惜しんだ結果、脆弱性が本番環境に混入するリスクが問題視されている。現場での選び方としては、生成物を無条件に信頼せず「レビュー前提の下書き」として扱い、SAST/DASTツールでの自動検査と人間によるコードレビューを組み合わせる運用が推奨される。
AI生成コードの脆弱性 (Insecure AI-Generated Code)の使用例
- 「このAPIエンドポイントのコードにSQLインジェクションの脆弱性がないか確認して」とAIにレビューを依頼する。
- 生成AIが提案したログイン処理コードに平文パスワード比較が混入していないか、マージ前にSAST検査をかける。
